CN114424606A

CN114424606A - 识别和报告欺骗性基站

Info

Publication number: CN114424606A
Application number: CN201980100585.5A
Authority: CN
Inventors: 泽基·比尔金; 穆罕默德·阿基夫·埃尔索伊; 埃姆拉·托穆尔; 叶利夫·乌斯通达格索伊坎
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 2019-09-24
Filing date: 2019-10-25
Publication date: 2022-04-29
Also published as: JP7403637B2; US20220345892A1; EP4035443A1; WO2021058120A1; EP4035443B1; JP2022548847A; EP4035443C0

Abstract

提供了用于识别欺骗性基站的机制。一种系统包括分析器设备和至少两个无线电设备。该系统被配置为：当至少两个无线电设备中的任一个无线电设备已经从基站接收到针对该至少两个无线电设备中的该任一个无线电设备的长期标识符的标识请求消息时，从该至少两个无线电设备中的该任一个无线电设备向分析器设备提供该标识请求消息的报告。该系统被配置为：当从该至少两个无线电设备中的至少两个不同无线电设备接收的同一基站的报告是在相对于彼此的阈值持续时间内接收到的时，由分析器设备将该基站识别为是欺骗性的。

Description

识别和报告欺骗性基站

技术领域

本文所呈现的实施例涉及用于识别欺骗性基站的方法、系统、分析器设备、计算机程序和计算机程序产品。本文所呈现的实施例还涉及用于报告欺骗性基站的方法、无线电设备、计算机程序和计算机程序产品。

背景技术

蜂窝电信系统(2G系统、3G系统、4G系统和5G系统)内在地由互连小区的结构构成，其中此概念中的小区表示由发射无线的无线电信号的基站服务的覆盖区域。通常，基站配备有强RF(射频)收发机和天线以便服务于其覆盖区域。蜂窝电信系统有时也被称为移动通信系统(或网络)、蜂窝(或无线)通信网络、蜂窝无线电系统或蜂窝网络。在这些系统中，可以提供若干种服务，例如无线互联网接入、语音呼叫服务、短消息收发服务以及用户之间的数据共享。这里，每个用户由其接入蜂窝电信系统的用户设备(UE)表示。

在不同代的蜂窝电信系统中，基站用不同的术语来指代。例如，其在2G系统中被称为基站收发台(BTS)、在3G系统中被称为NodeB、在4G系统中被称为eNodeB、在5G系统中被称为gNodeB。基站发射根据相关国际标准构造的无线电信号。这些信号例如包括关于基站本身的信息，例如物理小区ID、信号频率和同步信息。每个UE从接收到的信号中提取该信息并且计算各种参数值，例如RSRP(参考信号接收功率)。RSRP取决于若干个因素，例如基站的辐射功率、UE处的接收机灵敏度以及进行测量的位置。UE可以同时感测属于不同基站的RF信号，并且基于一些标准规范来选择被认为最佳服务于UE的RF信号。这方面的一个标准是RSRP，因为UE倾向于附接引起最高可能的RSSP的基站。该基站通常是物理上最接近UE的基站。

每个UE与订户相关联，该订户是UE经由基站接入蜂窝电信系统所需的。蜂窝电信系统中的订户具有被称为国际移动订户标识符(IMSI)的长期标识符，其例如可以被嵌入在通用订户标识模块(USIM)中。这是指派给订户的唯一标识符，因此出于安全和隐私的原因，应当在网络协议和应用中小心地处理该唯一标识符。当订户试图通过经由UE连接到基站来加入网络时，执行附接过程。该附接过程需要在无线电链路上公开UE的标识。在该步骤处，使用被称为临时移动订户标识(TMSI)的短期标识符而不是IMSI来确保用户的隐私。TMSI由核心网生成并且被保存在数据库(访问方位置寄存器(VLR))中，该数据库将TMSI与对应的IMSI相关联。TMSI根据UE的物理位置来定期地更新。

在4G系统(以及较早代系统中)中的附接过程期间，移动性管理实体(MME)或类似实体通过UE尝试连接到的基站来请求UE识别其自身。UE通常通过声明其TMSI来响应该请求。然而，相关标准允许基站通过发送特殊的IDENTITY REQUEST消息来请求长期标识符IMSI而不是TMSI，作为解决TMSI丢失或在网络中不可获得的情况的机制。该机制可以被恶意的未授权基站(在下文中被称为欺骗性基站)利用，以通过发送IDENTITY REQUEST消息来捕获UE的IMSI。为此，欺骗性基站可以通过辐射比其他基站更强的信号来将其自身通告为UE的优选服务点。

本公开中所提及的欺骗性基站有时用不同的术语来指代，例如伪造基站、IMSI捕捉器、基站模拟器(stingray)、流氓基站、虚假基站等。在本公开中，术语“欺骗性基站”用于表示以捕获蜂窝电信系统中UE的订户的长期标识符(例如，IMSI)为目的建立的基站。

在一些情况下，欺骗性基站可以通过利用跟踪区域更新(TAU)(如在4G系统中所使用的)和位置区域更新(LAU)(如在3G系统中所使用的)的过程以如下方式来实现其目标：欺骗性基站用来自合法基站的不同跟踪区域标识或位置区域标识来通告其自身，从而说服UE从欺骗性基站接收信号以发起涉及附接过程的TAU或LAU过程。由于在附接过程的初始阶段期间，对UE和基站之间的相互认证没有设计所需的安全机制，因此欺骗性基站可以借此获得UE的IMSI。法律措施可能不足以防止这种基站滥用。因此，还需要采取一些技术对策。

早期提出的用于检测欺骗性基站的方法可以分类为两组：(i)设备辅助机制；以及(ii)网络辅助机制。作为第一类的示例，技术人员可以通过使用无线电设备或频谱分析器来人工地观察在特定位置处接收到的无线电信号，以查看是否存在可能是可能的欺骗性基站迹象的任何可疑信号。作为第一类的另一示例，将特殊类型的终端配置为向目标基站发送位置区域更新请求消息，然后如果从该基站接收到REJECT消息作为应答，则将其识别为欺骗性基站。作为第二类的示例，基站首先收集感兴趣区域中的所有UE的定期测量报告，并且将其转发给中央单元以进行进一步处理。然后，通过分析所收集的测量报告同时与所有合法基站的网络拓扑进行比较，在中央单元处执行异常检测。

上述第一类早期方法实现起来是繁琐的，而上述第二类早期方法具有高计算要求。因此，仍然需要改进对欺骗性基站的检测。

发明内容

本文的实施例的目的在于提供对欺骗性基站的高效识别和报告以使得不会遭受上述问题或至少上述问题被缓解或减轻。

根据第一方面，提出了一种用于识别欺骗性基站的系统。该系统包括分析器设备和至少两个无线电设备。该系统被配置为：当至少两个无线电设备中的任一个无线电设备已经从基站接收到针对该至少两个无线电设备中的该任一个无线电设备的长期标识符的标识请求消息时，从该至少两个无线电设备中的该任一个无线电设备向分析器设备提供该标识请求消息的报告。该系统被配置为：当从该至少两个无线电设备中的至少两个不同无线电设备接收的同一基站的报告是在相对于彼此的阈值持续时间内接收到的时，由分析器设备将该基站识别为是欺骗性的。

根据第二方面，提出了一种用于识别欺骗性基站的方法。该方法由分析器设备执行。该方法包括：当至少两个无线电设备中的任一个无线电设备已经从基站接收到针对该至少两个无线电设备中的该任一个无线电设备的长期标识符的标识请求消息时，从该至少两个无线电设备中的该任一个无线电设备接收该标识请求消息的报告。该方法包括：当从该至少两个无线电设备中的两个不同无线电设备接收的同一基站的报告是在相对于彼此的阈值持续时间内接收到的时，将该基站识别为是欺骗性的。

根据第三方面，提出了一种用于识别欺骗性基站的分析器设备。分析器设备包括处理电路。该处理电路被配置为使分析器设备执行以下操作：当至少两个无线电设备中的任一个无线电设备已经从基站接收到针对该至少两个无线电设备中的该任一个无线电设备的长期标识符的标识请求消息时，从该至少两个无线电设备中的该任一个无线电设备接收该标识请求消息的报告。处理电路被配置为使分析器设备执行以下操作：当从该至少两个无线电设备中的两个不同无线电设备接收的同一基站的报告是在相对于彼此的阈值持续时间内接收到的时，将该基站识别为是欺骗性的。

根据第四方面，提出了一种用于识别欺骗性基站的分析器设备。分析器设备包括接收模块，接收模块被配置为：当至少两个无线电设备中的任一个无线电设备已经从基站接收到针对该至少两个无线电设备中的该任一个无线电设备的长期标识符的标识请求消息时，从该至少两个无线电设备中的该任一个无线电设备接收该标识请求消息的报告。分析器设备包括识别模块，识别模块被配置为：当从该至少两个无线电设备中的两个不同无线电设备接收的同一基站的报告是在相对于彼此的阈值持续时间内接收到的时，将该基站识别为是欺骗性的。

根据第五方面，提出了一种用于识别欺骗性基站的计算机程序。计算机程序包括计算机程序代码，该计算机程序代码当在分析器设备的处理电路上运行时使分析器设备执行根据第二方面的方法。

根据第六方面，提出了一种用于报告欺骗性基站的方法。该方法由无线电设备执行。该方法包括：从基站接收针对无线电设备的长期标识符的标识请求消息。该方法包括：当无线电设备已经接收到标识请求消息时，向分析器设备提供标识请求消息的报告。

根据第七方面，提出了一种用于报告欺骗性基站的无线电设备。

无线电设备包括处理电路。处理电路被配置为使无线电设备执行以下操作：从基站接收针对无线电设备的长期标识符的标识请求消息。处理电路被配置为使无线电设备执行以下操作：当无线电设备已经接收到标识请求消息时，向分析器设备提供标识请求消息的报告。

根据第八方面，提出了一种用于报告欺骗性基站的无线电设备。

无线电设备包括接收模块，接收模块被配置为：从基站接收针对无线电设备的长期标识符的标识请求消息。无线电设备包括提供模块，提供模块被配置为：当无线电设备已经接收到标识请求消息时，向分析器设备提供标识请求消息的报告。

根据第九方面，提出了一种用于报告欺骗性基站的计算机程序。计算机程序包括计算机程序代码，该计算机程序代码当在无线电设备的处理电路上运行时使该无线电设备执行根据第六方面的方法。

根据第十方面，提出了一种计算机程序产品，其包括根据第五方面和第九方面中的至少一个的计算机程序以及其上存储有该计算机程序的计算机可读存储介质。该计算机可读存储介质可以是非暂时性计算机可读存储介质。

有利地，这些方法、该系统、这些分析器设备、这些无线电设备、这些计算机程序和该计算机程序产品提供对欺骗性基站的高效识别和报告。

有利地，这些方法、该系统、这些分析器设备、这些无线电设备、这些计算机程序和该计算机程序产品不遭受上述问题。

有利地，这些方法、该系统、这些分析器设备、这些无线电设备、这些计算机程序和该计算机程序产品易于实现并且不具有高计算要求。

有利地，这些方法、该系统、这些分析器设备、这些无线电设备、这些计算机程序和该计算机程序产品使得能够即时检测欺骗性基站，而不需要任何事先准备，例如与要扫描的合法网络或区域相关的数据收集。

有利地，这些方法、该系统、这些分析器设备、这些无线电设备、这些计算机程序和该计算机程序产品不需要网络级或所使用的协议上的任何改变。

有利地，与用于检测欺骗性基站的基于训练的机制相比，这些方法、该系统、这些分析器设备、这些无线电设备、这些计算机程序和该计算机程序产品使得能够减少虚假警报并且提高检测准确度。

有利地，这些方法、该系统、这些分析器设备、这些无线电设备、这些计算机程序和该计算机程序产品不需要关于网络或关于终端用户的任何私有信息，从而消除了发生隐私问题的风险。

从下面的详细公开、所附从属权利要求以及附图中，所附实施例的其他目的、特征和优点将是显而易见的。

通常，权利要求中使用的所有术语将根据其在技术领域中的普通含义来解释，除非本文另有明确定义。所有对“一/一个/该元件、设备、组件、装置、模块、步骤等”的引用将被开放地解释为指代所述元件、设备、组件、装置、模块、步骤等的至少一个实例，除非另有明确说明。本文公开的任何方法的步骤不必须按照所公开的确切顺序执行，除非明确说明。

附图说明

现在参考附图通过示例描述本发明构思，在附图中：

图1是示出根据实施例的蜂窝电信系统的示意图；

图2和图3是根据实施例的系统的示意图；

图4、图5、图6和图7是根据实施例的方法的流程图；

图8是根据实施例的信令图；

图9是示出根据实施例的分析器设备的功能单元的示意图；

图10是示出根据实施例的分析器设备的功能模块的示意图；

图11是示出根据实施例的无线电设备的功能单元的示意图；

图12是示出根据实施例的无线电设备的功能模块的示意图；以及

图13示出了根据实施例的包括计算机可读装置的计算机程序产品的一个示例。

具体实施方式

现在将在下文中参考附图更全面地描述本发明构思，在附图中示出了本发明构思的某些实施例。然而，本发明构思可以以许多不同的形式来体现，并且不应被解释为限于本文所阐述的实施例；相反，这些实施例是以示例的方式提供的，使得本公开将是彻底和完整的，并且将向本领域技术人员充分地传达本发明构思的范围。在整个说明书中，相同的附图标记指代相同的元件。由虚线示出的任何步骤或特征应当被视为可选的。

图1是示出可以应用本文所呈现的实施例的蜂窝电信系统10的简化版的示意图。蜂窝电信系统10包括基站20，其被假设为欺骗性基站。欺骗性基站20发送无线电信号，如辐射箭头30所示。假设无线电信号由无线电设备(RD)300a、300b接收。如将在下文更详细地公开地，无线电设备300a、300b向分析器设备(AD)200提供报告，分析器设备(AD)200被配置为将基站识别为是欺骗性的。分析器设备200和至少两个无线电设备300a、300b一起构成系统100。

具体地，本文所公开的实施例涉及用于识别欺骗性基站20和报告欺骗性基站20的机制。为了获得这样的机制，提供了一种分析器设备200、一种由分析器设备200执行的方法、一种包括例如以计算机程序为形式的代码的计算机程序产品，该代码当在分析器设备200的处理电路上运行时使分析器设备200执行该方法。为了获得这样的机制，还提供了一种无线电设备300a:300N、一种由无线电设备300a:300N执行的方法、和一种包括例如以计算机程序为形式的代码的计算机程序产品，该代码当在无线电设备300a:300N的处理电路上运行时使无线电设备300a:300N执行该方法。为了获得这样的机制，还提供了一种包括分析器设备200和至少两个无线电设备300a:300N的系统。

可以有不同的系统100。现在将参考图2和图3公开其两个非限制性示例。

图2示出了根据第一实施例的系统100。在图2的实施例中，至少两个无线电设备300a:300N中的每个无线电设备通过有线连接40a可操作地连接到分析器设备200。如本领域技术人员所知，可以有不同类型的有线连接，例如光纤连接、同轴电缆连接、双绞线电缆连接等。在图2的实施例中，分析器设备200和至少两个无线电设备300a:300N被集成、并置或提供在同一个物理实体内，其中该物理实体定义系统100。图2的系统100可以是不可移动的并且被固定到关键位置，以使得能够在这样的关键位置处持续地监测任何欺骗性基站。因此，根据一个示例，系统100被配置为安装在固定位置上。备选地，图2的系统100可以被安装在车辆(例如汽车、无人飞行器(UAV)等)上，以使得能够间歇地监测不同的位置。因此，根据一个示例，系统100被配置为可移动的。从这个意义上说，可以部署多于一个这样的系统100来监测不同的区域，并且多于一个这样的系统100被配置为发出基站被认作欺骗性基站的通知。

图3示出了根据第二实施例的系统100。在图3的实施例中，至少两个无线电设备300a:300N中的每个无线电设备通过无线连接40b可操作地连接到分析器设备200。在图3中，还示出了另外的、可选的至少两个无线电设备300a’:300N’，它们中的每个无线电设备通过各自的无线连接可操作地连接到分析器设备200。如本领域技术人员所知，可以有不同类型的无线连接，例如使用无线电信令的无线连接、使用红外信令的无线连接等。图3中的系统100的分析器设备200可以居于云计算环境中。由于至少两个无线电设备300a:300N是可移动的，因此根据定义，图3的系统100被认为是可移动的。

在一些实施例中，例如在上述第一实施例和第二实施例中，假设至少两个无线电设备300a:300N相对于彼此定位为从同一基站接收信号。在图2的示例中，无线电设备300a:300N形成相对于彼此定位为从同一个基站接收信号的第一组无线电设备，而可选的无线电设备300a’:300N’形成相对于彼此定位为从同一个基站接收信号的第二组无线电设备。

现在参考图4，图4示出了根据实施例的由分析器设备200执行的用于识别欺骗性基站20的方法。

如将在下文进一步公开的，无线电设备300a:300N中的每一个无线电设备被配置为向分析器设备200报告任何接收到的标识请求消息。因此，分析器设备200被配置为执行S102：

S102：分析器设备200接收报告。当至少两个无线电设备300a:300N中的任一个无线电设备已经从基站20接收到针对该至少两个无线电设备300a:300N中的该任一个无线电设备的长期标识符的标识请求消息时，从该至少两个无线电设备300a:300N中的该任一个无线电设备接收该报告。该报告是标识请求消息的报告。

基于报告之间的时间差，将基站20识别为是欺骗性的。具体地，分析器设备200被配置为执行S104：

S104：当从该至少两个无线电设备300a:300N中的两个不同无线电设备所接收的同一基站20的报告是在相对于彼此的阈值持续时间内接收到的时，分析器设备200将基站20识别为是欺骗性的。

在这方面，根据实际网络统计数据，彼此邻近的两个或更多个无线电设备300a:300N同时接收或在由阈值持续时间定义的非常短的时间段内接收标识请求消息是非常不可能的。这是由于以下事实：标识请求消息由合法基站仅在一些特殊情况下发送以向UE请求长期标识符，例如在初始注册到网络时、当长期标识符在核心网中丢失时、或当UE与基站之间的认证失败时。本文所公开的实施例利用了这一事实。因此，通过无线电设备300a:300N，可以高效地(持续地或间歇地)扫描无线电环境以寻找潜在的欺骗性基站，从而使得能够实时地检测和识别任何欺骗性基站。

现在将公开涉及由分析器设备200所执行的识别欺骗性基站20的进一步细节的实施例。

在一些方面，分析器200在基站20已经被识别为是欺骗性的时发出通知。具体地，在一些实施例中，分析器设备200被配置为执行(可选的)步骤S110：

S110：分析器设备200发出对如此识别的欺骗性基站20的通知。

在S110中，分析器设备200可以发出不同类型的通知。例如，通知可以是警报消息。该通知的接收方可以有不同类型。例如，分析器设备200可以将通知发送给网络管理实体。由此，当在S104中已经识别出欺骗性基站时，分析器设备200可以将警报消息形式的通知发送给网络管理实体以对该欺骗性基站进行进一步处理。

在一些方面，分析器设备200仅在满足一个或多个条件时才在S110中发出通知。接下来将公开这种条件的示例。

一个第一条件涉及在阈值持续时间内已经从多少个无线电设备300a:300N接收到报告。也就是说，在一些实施例中，仅当分析器设备200针对同一个基站20已经从至少k个无线电设备300a:300N接收到彼此最多相隔阈值持续时间的报告时才在S110中发出通知，其中k是大于1的整数。k的值越高，基站20确实是欺骗性基站的置信度水平就越高。

由此，可以基于有多少个无线电设备300a:300N同时或在由阈值持续时间给定的时间间隔内报告针对长期标识符的标识请求消息来制定确定性水平。备选地，假设总共有N个无线电设备被配置为向分析器设备200提供报告，则当N个中的k个设备同时从同一小区接收到针对长期标识符的相同标识请求消息时，可以发出通知。

一个第二条件涉及用于将基站20确实识别为欺骗性基站的确定性水平。也就是说，在一些实施例中，分析器设备200被配置为执行(可选的)步骤S106：

S106：分析器设备200基于已经接收到多少个彼此最多相隔阈值持续时间的报告以及有多少至少两个无线电设备300a:300N可操作地连接到分析器设备200来确定确定性水平。

然后，在S110中，仅当确定性水平高于确定性阈值时才发出通知。

一个第三条件涉及网络统计数据。具体地，在一些实施例中，确定性水平还基于由分析器设备200获得的网络统计数据。

一个第四条件涉及由分析器设备200执行的验证。一般而言，欺骗性基站将远比合法基站更经常地发送针对无线电设备300a:300N的长期标识符的标识请求消息，而不论无线电设备300a:300N是否具有有效的长期标识符。根据实际网络统计数据，对于合法基站，针对长期标识符的标识请求消息相对于所发送的所有标识请求消息可能不到15％；对于剩余的85％以上，标识请求消息针对短期标识符。具体地，在一些实施例中，分析器设备200被配置为执行(可选的)步骤S108：

S108：分析器设备200通过查询数据库并且在发出通知之前验证基站20不是注册的基站。

当执行S108时，在执行S110之前执行S108。

因此，分析器设备200可以被配置为对从无线电设备300a:300N接收的报告(若存在)执行分析，并且据此基于报告的数量、报告的内容和报告的时间戳来确定是否存在应当被认为是欺骗性基站的任何基站。

本文所公开的系统100在以下意义上是灵活的：可以相对于检测的灵敏度来设置与上述四个条件中的任一个条件有关的参数，例如通过改变阈值持续时间的值以及还通过调整需要从多少个无线电设备300a:300N接收到报告才能发出通知。

现在将公开从无线电设备300a:300N中的一个或多个无线电设备接收的报告的方面。在一些示例中，至少一个无线电设备300a:300N报告小区ID，即明确标识公共陆地移动网络(PLMN)内的小区的标识符。也就是说，在一些实施例中，报告包括已经发送了标识请求消息的基站20的小区ID。

可以存在长期标识符的不同示例。根据一些实施例，长期标识符是IMSI。

在一些方面，至少两个无线电设备300a:300N中的一个或多个无线电设备被配置为由两个或更多个移动网络运营商服务。

具体地，在一些实施例中，至少两个无线电设备300a:300N被集体地配置为由至少两个不同的移动网络运营商服务。由此，同一个系统100可以用于识别针对两个或更多个移动网络运营商的欺骗性基站，这进而可以降低检测特定区域中的针对所有移动网络运营商的欺骗性基站的成本和总功耗。

然而，这不一定意味着同时收集和分析来自由两个或更多个移动网络运营商运营的基站的信号。

现在将公开标识请求消息何时由基站200发送并且因此由至少两个无线电设备300a:300N接收的方面。根据第一示例，在附接过程、TAU过程或LAU过程期间接收标识请求消息。根据第二示例，在至少两个无线电设备300a:300N中的所述任一个无线电设备尚未经历网络锁定的情况下接收标识请求消息。根据第三示例，当至少两个无线电设备300a:300N中的所述任一个无线电设备自从其无线电调制解调器最后被接通以来已经执行了初始注册时接收标识请求消息。

现在参考图5，图5示出了根据实施例的由无线电设备300a:300N所执行的用于报告欺骗性基站20的方法。

无线电设备300a:300N被配置为从基站接收消息。具体地，无线电设备300a:300N被配置为执行S202：

S202：无线电设备300a:300N从基站20接收针对无线电设备300a:300N的长期标识符的标识请求消息。

然后，无线电设备300a:300N向分析器设备报告该标识请求消息。也就是说，无线电设备300a:300N被配置为执行S204：

S204：当无线电设备300a:300N已经接收到标识请求消息时，无线电设备300a:300N向分析器设备200提供标识请求消息的报告。

现在将公开涉及由无线电设备300a:300N所执行的报告欺骗性基站20的进一步细节的实施例。

一般而言，无线电设备300a:300N作为普通UE注册到网络。

如上所述，在一些实施例中，报告包括已经发送了标识请求消息的基站20的小区ID。

如上所述，在一些实施例中，长期标识符是IMSI。

如上所述，根据第一示例，无线电设备300a:300N在附接过程、TAU过程或LAU过程期间接收标识请求消息。如上所述，根据第二示例，在无线电设备300a:300N尚未经历网络锁定的情况下接收标识请求消息。如上所述，根据第三示例，当无线电设备300a:300N自从其无线电调制解调器最后被接通以来已经执行了初始注册时接收标识请求消息。

参考图6的流程图，其示出了基于至少一些上述实施例的由无线电设备300a:300N所执行的用于报告欺骗性基站20的方法。

S301：无线电设备300a:300N监听从基站发送的任何消息。

S302：无线电设备300a:300N从基站之一接收消息。

S303：无线电设备300a:300N检查该消息是否是针对长期标识符的标识请求消息。如果是，则进入步骤S304，如果否，则进入步骤S301。

S304：无线电设备300a:300N向分析器设备200报告该消息。

参考图7，图7示出了基于至少一些上述实施例的由分析器设备200所执行的用于识别欺骗性基站20的方法。

S401：分析器设备200监听已经由任一无线电设备300a:300N接收到的针对长期标识符的标识请求消息的任何报告。

S402：分析器设备200从无线电设备300a:300N之一接收已经由无线电设备300a:300N中的该一个无线电设备接收到的针对长期标识符的标识请求消息的报告。

S403：分析器设备200将接收到的报告和指示何时接收到报告的时间戳写入列表。备选地，时间戳指示相关无线电设备300a:300N何时接收到标识请求消息。

S404：分析器设备200从列表中移除时间戳早于阈值时间值的任何报告。分析器设备200还从列表中移除来自同一无线电设备300a:300N的同一基站的任何先前报告，即使该先前报告不早于阈值时间值。

S405：分析器设备200检查列表中是否存在多于k个报告。如果是，则进入步骤S406，如果否，则进入步骤S401。

S406：分析器设备200发出对已经识别出欺骗性基站的通知。

参考图8，图8示出了基于至少一些上述实施例的由分析器设备200和无线电设备300a:300N所执行的用于识别和报告欺骗性基站20的方法。

S501：欺骗性基站20发送针对长期标识符的标识请求消息。该标识请求消息由无线电设备300N接收。

S502：无线电设备300N向分析器设备200提供该标识请求消息的报告，并且还将其自己的ID以及可选的指示何时接收到该标识请求消息的时间戳附加到该报告。

S503：分析器设备200将接收到的报告和指示何时接收到报告(和/或相关无线电设备300a:300N何时接收到标识请求消息)的时间戳写入列表。分析器设备200从列表中移除从无线电设备300N接收的属于同一被报告基站的任何先前报告。由于未接收到先前报告，因此不移除报告。分析器设备200检查对于同一基站，列表中是否存在k>1个报告以及这k个报告是否都具有不早于由时间窗W1给出的阈值时间值的时间戳。由于仅接收到一个报告，因此不满足该条件。因此，基站20尚未被识别为是欺骗性的。

S504：欺骗性基站20发送针对长期标识符的另一个标识请求消息。该标识请求消息由无线电设备300b接收。

S505：无线电设备300b向分析器设备200提供该标识请求消息的报告，并且还将其自己的ID以及可选的指示何时接收到该标识请求消息的时间戳附加到该报告。

S506：分析器设备200将接收到的报告和指示何时接收到报告(和/或相关无线电设备300a:300N何时接收到标识请求消息)的时间戳写入列表。分析器设备200从列表中移除从无线电设备300b接收的任何先前报告。由于未从无线电设备300b接收到先前报告，因此不移除报告。分析器设备200检查对于同一基站，是否存在k>1个报告以及这k个报告是否都具有不早于由时间窗W2给出的阈值时间值的时间戳。由于列表中对于同一个基站存在两个报告(即，k＝2)并且这些报告都是在时间窗W2内接收到的，因此满足该条件。因此，基站20被识别为是欺骗性的。因此，分析器设备200可以发出通知。

S507：欺骗性基站20发送针对长期标识符的又一另外的标识请求消息。该标识请求消息由无线电设备300a接收。

S508：无线电设备300a向分析器设备200提供该标识请求消息的报告，并且还将其自己的ID以及可选的指示何时接收到该标识请求消息的时间戳附加到该报告。

S506：分析器设备200将接收到的报告和指示何时接收到报告(和/或相关无线电设备300a:300N何时接收到标识请求消息)的时间戳写入列表。分析器设备200从列表中移除从无线电设备300a接收的任何先前报告。由于未从无线电设备300a接收到先前报告，因此不移除报告。分析器设备200检查是否存在多于k>1个报告以及这k个报告是否都具有不早于由时间窗W3给出的阈值时间值的时间戳。现在列表

中存在三个报告，但是来自无线电设备300b和无线电设备300N的报

告都是在时间窗W3之外接收到的，于是不再满足该条件。因此，基站20在该上下文中不被识别为是欺骗性的。

因此，在该实施例中，分析器设备200仅在列表中保留对于每个无线电设备300a:300N所接收的最新报告。而且，根据滑动时间窗(如W1、W2、W3所给出的)定期地从列表中移除较早的报告。在这方面，W1、W2和W3因此是阈值持续时间的示例。每当列表中存在k>1个报告时，这指示已经识别出欺骗性基站。

虽然在上述一些实施例和示例中已经使用了列表中存在k>1个报告的条件，但是也可以有其他条件。例如，一个一般条件是可以要求列表中存在k>z个报告，其中z>1。z的值越高，基站20确实是欺骗性基站的机率就越高。然而，增加z的值也增加了错过将基站20识别为欺骗性基站的风险。一般而言，z的值可以被设置为取决于无线电设备300a:300N的总数N；N的值越高，z可以被设置为的值就越高。当然，z永远不应该被设置为高于N的值。

图9以多个功能单元的方式示意性地示出了根据实施例的分析器设备200的组件。使用能够执行存储在例如存储介质230形式的计算机程序产品1310a(如图13所示)中的软件指令的合适的中央处理单元(CPU)、多处理器、微控制器、数字信号处理器(DSP)等中的一个或多个的任意组合来提供处理电路210。处理电路210还可以被提供为至少一个专用集成电路(ASIC)或现场可编程门阵列(FPGA)。

具体地，处理电路210被配置为使分析器设备200执行如上文所公开的操作或步骤的集合。例如，存储介质230可以存储操作的集合，而处理电路210可以被配置为从存储介质230中取得该操作的集合以使分析器设备200执行该操作的集合。操作的集合可以被提供为可执行指令集合。因此，处理电路210由此被布置为执行如本文所公开的方法。

存储介质230还可以包括永久性存储器，其例如可以是磁存储器、光学存储器、固态存储器或甚至远程安装的存储器中的任何单个一个或组合。

分析器设备200还可以包括通信接口220，其用于与图1的通信网络中的其他实体、节点、功能和设备进行通信。因此，通信接口220可以包括一个或多个发射机和接收机，其包括模拟和数字组件。

处理电路210例如通过向通信接口220和存储介质230发送数据和控制信号、通过从通信接口220接收数据和报告、以及通过从存储介质230中取得数据和指令来控制分析器设备200的一般操作。省略分析器设备200的其他组件以及相关功能，以免模糊本文所呈现的构思。

图10以多个功能模块的方式示意性地示出了根据实施例的分析器设备200的组件。图10的分析器设备200包括多个功能模块：被配置为执行步骤S102的接收模块210a；以及被配置为执行步骤S104的识别模块210b。图10的分析器设备200还可以包括多个可选功能模块，例如被配置为执行步骤S106的确定模块210c、被配置为执行步骤S108的验证模块210d以及被配置为执行步骤S110的发出模块210e中的任一个。一般而言，功能模块210a至210e中的每一个可以以硬件或软件来实现。优选地，功能模块210a至210e中的一个或多个或全部功能模块可以由处理电路210(可能与通信接口220和/或存储介质230协作)来实现。因此，处理电路210可以被布置为从存储介质230提取由功能模块210a至210e提供的指令并且执行这些指令，从而执行如本文所公开的分析器设备200的任何步骤。

分析器设备200可以作为独立的设备或作为至少一个另外的设备的一部分来提供。例如，分析器设备200可以被提供在无线电接入网的节点中或核心网的节点中。备选地，分析器设备200的功能可以分布在至少两个设备或节点之间。这至少两个节点或设备可以是同一网络部分(例如，无线电接入网或核心网)的一部分，或者可以散布在至少两个这样的网络部分之间。一般而言，与不需要实时执行的指令相比，需要实时执行的指令可以在操作上更靠近小区的设备或节点中执行。因此，由分析器设备200执行的指令的第一部分可以在第一设备中执行，而由分析器设备200执行的指令的第二部分可以在第二设备中执行；本文所公开的实施例不限于可以在其上执行由分析器设备200执行的指令的设备的任何特定数量。因此，根据本文所公开的实施例的方法适合于由居于云计算环境中的分析器设备200来执行。因此，尽管图9中示出了单个处理电路210，但是处理电路210可以分布在多个设备或节点之间。这同样适用于图10的功能模块210a至210e和图13的计算机程序1320a。

图11以多个功能单元的方式示意性地示出了根据实施例的无线电设备300a:300N的组件。使用能够执行存储在例如存储介质330形式的计算机程序产品1310b(如图13所示)中的软件指令的合适的中央处理单元(CPU)、多处理器、微控制器、数字信号处理器(DSP)等中的一个或多个的任意组合来提供处理电路310。处理电路310还可以被提供为至少一个专用集成电路(ASIC)或现场可编程门阵列(FPGA)。

具体地，处理电路310被配置为使无线电设备300a:300N执行如上文所公开的操作或步骤的集合。例如，存储介质330可以存储操作的集合，而处理电路310可以被配置为从存储介质330中取得该操作的集合以使无线电设备300a:300N执行该操作的集合。操作的集合可以被提供为可执行指令集合。因此，处理电路310由此被布置为执行如本文所公开的方法。

存储介质330还可以包括永久性存储器，其例如可以是磁存储器、光学存储器、固态存储器或甚至远程安装的存储器中的任何单个一个或组合。

无线电设备300a:300N还可以包括通信接口320，其用于与图1的通信网络中的其他实体、节点、功能和设备进行通信。因此，通信接口320可以包括一个或多个发射机和接收机，其包括模拟和数字组件。

处理电路310例如通过向通信接口320和存储介质330发送数据和控制信号、通过从通信接口320接收数据和报告、以及通过从存储介质330中取得数据和指令来控制无线电设备300a:300N的一般操作。省略无线电设备300a:300N的其他组件以及相关功能，以免模糊本文所呈现的构思。

图12以多个功能模块的方式示意性地示出了根据实施例的无线电设备300a:300N的组件。图12的无线电设备300a:300N包括多个功能模块：被配置为执行步骤S202的接收模块310a；以及被配置为执行步骤S204的提供模块310b。图12的无线电设备300a:300N还可以包括多个可选功能模块，如功能模块310c所示。一般而言，功能模块310a至310c中的每一个可以以硬件或软件来实现。优选地，功能模块310a至310c中的一个或多个或全部功能模块可以由处理电路310(可能与通信接口320和/或存储介质330协作)来实现。因此，处理电路310可以被布置为从存储介质330提取由功能模块310a至310c提供的指令并且执行这些指令，从而执行如本文所公开的无线电设备300a:300N的任何步骤。

图13示出了包括计算机可读装置1330的计算机程序产品1310a、1310b的一个示例。在该计算机可读装置1330上，可以存储计算机程序1320a，该计算机程序1320a可以使处理电路210以及与其可操作地耦合的实体和设备(例如，通信接口220和存储介质230)执行根据本文所描述的实施例的方法。因此，计算机程序1320a和/或计算机程序产品1310a可以提供用于执行如本文所公开的分析器设备200的任何步骤的装置。在该计算机可读装置1330上，可以存储计算机程序1320b，该计算机程序1320b可以使处理电路310以及与其可操作地耦合的实体和设备(例如，通信接口320和存储介质330)执行根据本文所描述的实施例的方法。因此，计算机程序1320b和/或计算机程序产品1310b可以提供用于执行如本文所公开的无线电设备300a:300N的任何步骤的装置。

在图13的示例中，计算机程序产品1310a、1310b被示出为光盘，例如CD(致密盘)或DVD(数字多功能盘)或蓝光光盘。计算机程序产品1310a、1310b还可以被实现为存储器(例如，随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM)或电可擦除可编程只读存储器(EEPROM))，并且更具体地被实现为诸如USB(通用串行总线)存储器或闪存(例如，紧凑型闪存)之类的外部存储器中的设备的非易失性存储介质。因此，虽然这里将计算机程序1320a、1320b示意性地示出为所绘光盘上的轨道，但是可以以适合于计算机程序产品1310a、1310b的任何方式来存储计算机程序1320a、1320b。

以上主要参考几个实施例描述了本发明构思。然而，如本领域技术人员容易理解的，在如所附专利权利要求所限定的本发明构思的范围内，除上述公开的实施例之外的其他实施例同样是可能的。

Claims

1.一种用于识别欺骗性基站(20)的系统(100)，所述系统(100)包括分析器设备(200)和至少两个无线电设备(300a:300N)，所述系统(100)被配置为：

当所述至少两个无线电设备(300a:300N)中的任一个无线电设备已经从基站(20)接收到针对所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备的长期标识符的标识请求消息时，从所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备向所述分析器设备(200)提供所述标识请求消息的报告；以及

当从所述至少两个无线电设备(300a:300N)中的至少两个不同无线电设备接收的同一基站(20)的报告是在相对于彼此的阈值持续时间内接收到的时，由所述分析器设备(200)将所述基站(20)识别为是欺骗性的。

2.根据权利要求1所述的系统(100)，还被配置为：

由所述分析器设备(200)发出对如此识别的欺骗性基站(20)的通知。

3.根据权利要求2所述的系统(100)，其中，所述通知是由所述分析器设备(200)发送给网络管理实体的警报消息。

4.根据权利要求2或3所述的系统(100)，其中，仅当所述分析器设备(200)已经从至少k个无线电设备(300a:300N)接收到彼此最多相隔所述阈值持续时间的报告时才发出所述通知，其中，k是大于1的整数。

5.根据前述权利要求中任一项所述的系统(100)，还被配置为：

由所述分析器设备(200)基于已经接收到多少个彼此最多相隔所述阈值持续时间的报告以及有多少至少两个无线电设备(300a:300N)能够操作地连接到所述分析器设备(200)来确定确定性水平。

6.根据权利要求5所述的系统(100)，其中，仅当所述确定性水平高于确定性阈值时才发出所述通知。

7.根据权利要求5或6所述的系统(100)，其中，所述确定性水平还基于由所述分析器设备(200)获得的网络统计数据。

8.根据前述权利要求中任一项所述的系统(100)，还被配置为：

由所述分析器设备(200)查询数据库并且在发出所述通知之前验证所述基站(20)不是注册的基站。

9.根据前述权利要求中任一项所述的系统(100)，其中，所述至少两个无线电设备(300a:300N)相对于彼此定位为从同一基站接收信号。

10.根据前述权利要求中任一项所述的系统(100)，其中，所述报告包括已经发送了所述标识请求消息的基站(20)的小区ID。

11.根据前述权利要求中任一项所述的系统(100)，其中，所述长期标识符是国际移动订户标识IMSI。

12.根据前述权利要求中任一项所述的系统(100)，其中，所述至少两个无线电设备(300a:300N)被集体地配置为由至少两个不同的移动网络运营商服务。

13.根据前述权利要求中任一项所述的系统(100)，其中，在附接过程、TAU过程或LAU过程期间接收所述标识请求消息。

14.根据前述权利要求中任一项所述的系统(100)，其中，在所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备尚未经历网络锁定的情况下接收所述标识请求消息。

15.根据前述权利要求中任一项所述的系统(100)，其中，当所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备自从所述任一个无线电设备的无线电调制解调器最后被接通以来已经执行了初始注册时接收所述标识请求消息。

16.根据前述权利要求中任一项所述的系统(100)，其中，所述至少两个无线电设备(300a:300N)中的每个无线电设备通过有线连接(40a)或无线连接(40b)能够操作地连接到所述分析器设备(200)。

17.根据权利要求1至15中任一项所述的系统(100)，其中，所述分析器设备(200)和所述至少两个无线电设备(300a:300N)被集成、并置或提供在定义所述系统(100)的同一个物理实体内。

18.根据权利要求17所述的系统(100)，其中，所述系统(100)被配置为安装在固定位置。

19.根据权利要求17所述的系统(100)，其中，所述系统(100)被配置为是能够移动的。

20.一种用于识别欺骗性基站(20)的分析器设备(200)，所述分析器设备(200)包括处理电路，所述处理电路被配置为使所述分析器设备(200)执行以下操作：

当至少两个无线电设备(300a:300N)中的任一个无线电设备已经从基站(20)接收到针对所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备的长期标识符的标识请求消息时，从所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备接收所述标识请求消息的报告；以及

当从所述至少两个无线电设备(300a:300N)中的两个不同无线电设备接收的同一基站(20)的报告是在相对于彼此的阈值持续时间内接收到的时，将所述基站(20)识别为是欺骗性的。

21.一种用于识别欺骗性基站(20)的分析器设备(200)，所述分析器设备(200)包括：

接收模块(210a)，被配置为当至少两个无线电设备(300a:300N)中的任一个无线电设备已经从基站(20)接收到针对所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备的长期标识符的标识请求消息时，从所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备接收所述标识请求消息的报告；以及

识别模块(210b)，被配置为当从所述至少两个无线电设备(300a:300N)中的两个不同无线电设备接收的同一基站(20)的报告是在相对于彼此的阈值持续时间内接收到的时，将所述基站(20)识别为是欺骗性的。

22.一种用于报告欺骗性基站(20)的无线电设备(300a:300N)，所述无线电设备(300a:300N)包括处理电路，所述处理电路被配置为使所述无线电设备(300a:300N)执行以下操作：

从基站(20)接收针对所述无线电设备(300a:300N)的长期标识符的标识请求消息；以及

当所述无线电设备(300a:300N)已经接收到所述标识请求消息时，向分析器设备(200)提供所述标识请求消息的报告。

23.一种用于报告欺骗性基站(20)的无线电设备(300a:300N)，所述无线电设备(300a:300N)包括：

接收模块(310a)，被配置为从基站(20)接收针对所述无线电设备(300a:300N)的长期标识符的标识请求消息；以及

提供模块(310b)，被配置为当所述无线电设备(300a:300N)已经接收到所述标识请求消息时，向分析器设备(200)提供所述标识请求消息的报告。

24.一种用于识别欺骗性基站(20)的方法，所述方法由分析器设备(200)执行，所述方法包括：

当至少两个无线电设备(300a:300N)中的任一个无线电设备已经从基站(20)接收到针对所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备的长期标识符的标识请求消息时，从所述至少两个无线电设备(300a:300N)中的所述任一个无线电设备接收(S102)所述标识请求消息的报告；以及

当从所述至少两个无线电设备(300a:300N)中的两个不同无线电设备接收的同一基站(20)的报告是在相对于彼此的阈值持续时间内接收到的时，将所述基站(20)识别(S104)为是欺骗性的。

25.一种用于报告欺骗性基站(20)的方法，所述方法由无线电设备(300a:300N)执行，所述方法包括：

从基站(20)接收(S202)针对所述无线电设备(300a:300N)的长期标识符的标识请求消息；以及

当所述无线电设备(300a:300N)已经接收到所述标识请求消息时，向分析器设备(200)提供(S204)所述标识请求消息的报告。

26.一种用于识别欺骗性基站(20)的计算机程序(1320a)，所述计算机程序包括计算机代码，所述计算机代码当在分析器设备(200)的处理电路(210)上运行时使所述分析器设备(200)执行以下操作：

27.一种用于报告欺骗性基站(20)的计算机程序(1320b)，所述计算机程序包括计算机代码，所述计算机代码当在无线电设备(300a:300N)的处理电路(310)上运行时使所述无线电设备(300a:300N)执行以下操作：

28.一种计算机程序产品(1310a，1310b)，包括根据权利要求26和27中至少一项所述的计算机程序(1320a，1320b)以及存储有所述计算机程序的计算机可读存储介质(1330)。